**Двофакторний захист, який надсилає код кому завгодно, тільки не власнику — черговий курйоз, який випадково розкопав ШІ**

**ШІ-агент компанії Reflectiz** під час санкціонованого тестування сайту великої страхової компанії самостійно виявив критичну вразливість входу в особисті кабінети клієнтів.
Вразливість дозволяла отримати повний доступ до профілю в обхід стандартної двофакторної автентифікації.

 **У чому полягала помилка?** 
 Одноразовий код підтвердження (OTP) за замовчуванням надсилався через SMS на перевірений номер клієнта. 
 У коді вебзапиту виявилися незахищені параметри каналу та адреси доставки 2FA
 Агент замінив спосіб відправлення з SMS на email та підставив власну поштову скриньку замість даних власника акаунту. 
 Cервер прийняв підміну без перевірки — надіслав захисний код на адресу ШІ й успішно авторизував вхід стороннього.

 **Чому це показовий кейс?** 
За 6 місяців до цього система проходила традиційний аудит від професійних пентестерів, але люди не помітили цю діру. ШІ-агенти не орієнтуються на типові шаблони поведінки — вони методично змінюють і перевіряють кожне поле у запитах доти, доки система не дасть збій.
**
****Оновлюйте підходи до кіберзахисту: доповнюйте ручне тестування автономними ШІ-сканерами. ШІ не має «затуманеного ока», методично перебирає будь-які нестандартні змінні й нейтралізує вразливості до того, як ними скористаються хакери.**

[Telegram](https://t.me/+wXRpHruz8do1MThi) | [Viber](https://invite.viber.com/?g2=AQAFPrumO3ReWU%2FZftS%2B2lpUWhK4Jg8bPjgXDZPv0lSu2Ce%2BB6lHWon36pE9wV2N) | [Facebook](https://www.facebook.com/bramaonline) | [Instagram](https://www.instagram.com/brama_online) | [WhatsApp](https://whatsapp.com/channel/0029VaKuM6D6BIEfys0fWR3n) | [TikTok](https://www.tiktok.com/@brama_online) | [ЧатовіОнлайн](https://chatovi.online/)